Relatório de inteligência sobre ameaças globais

As ameaças internas são as ameaças que o site BlackBerry identifica e contra as quais se protege em sua própria base de clientes. As ameaças externas (abordadas na próxima seção) são aquelas relatadas por terceiros, como publicações de notícias do setor, fornecedores de segurança ou agências governamentais.

Tipo: Infostealer

Objetivos: Telecomunicações, saúde

Regiões: América Latina (LATAM), América do Norte

O Vidar é um infostealer que existe desde 2018. Provavelmente o desdobramento do outrora famoso infostealer Arkei, o Vidar permaneceu extremamente ativo e é frequentemente vendido por meio de malware como serviço (MaaS) em fóruns clandestinos. O malware é altamente flexível e pode ser colocado no dispositivo da vítima de várias maneiras, como por meio de documentos de phishing, malvertising (publicidade que espalha malware) e distribuição secundária por meio de outros malwares. No início de 2024, observamos que o Vidar também foi usado para atacar infraestruturas críticas. Durante o período deste relatório, observamos que o Vidar atacou principalmente os setores de telecomunicações e saúde, especialmente nos países da América Latina, e também foi observado atacando o setor de saúde na América do Norte.

Tipo: Downloader

Objetivos: Alimentos e agricultura, saúde

Regiões: LATAM, América do Norte

Operacional desde 2011, o SmokeLoader é um importante mecanismo de entrega de cargas maliciosas de segundo estágio, incluindo uma variedade de cavalos de Troia, infostealers e até mesmo ransomware. O SmokeLoader, que é vendido como MaaS, também pode coletar credenciais de usuário. Ele é popular entre vários grupos de ameaças de alto perfil devido à sua capacidade de implantar malware adicional. Em maio de 2024, a Europol coordenou a Operação Endgame para atacar os downloaders mal-intencionados. Mais de 100 servidores de malware foram derrubados ou interrompidos e mais de 2.000 domínios foram apreendidos pelas autoridades policiais. Embora essas ações tenham prejudicado gravemente as operações dos grupos de ameaças por trás do SmokeLoader, binários relacionados ao malware ainda foram observados neste trimestre no setor de saúde da América do Norte e no setor de alimentos e agricultura na América Latina.

Tipo: Infostealer

Objetivos: Telecomunicações, alimentos e agricultura, saúde

Regiões: LATAM, América do Norte

O RisePro é um infostealer multifuncional frequentemente vendido como MaaS em fóruns clandestinos. O RisePro foi observado inicialmente no final de 2022. Depois, no final de 2023 e início de 2024, o site BlackBerry notou um aumento acentuado da atividade do RisePro.

O infostealer RisePro pode ser colocado no dispositivo da vítima de várias maneiras, frequentemente por meio de links maliciosos ou anexos de e-mail. Ele também foi implantado por meio do PrivateLoader, um malware pay-per-install (PPI) frequentemente usado como um serviço de distribuição de malware.

Uma vez no dispositivo da vítima, o RisePro se comunica com seu servidor de comando e controle (C2), onde recebe comandos para roubar dados, instalar malware adicional e exfiltrar informações do dispositivo. Neste trimestre, o RisePro foi observado tendo como alvo empresas de alimentos, agricultura e telecomunicações em países da América Latina e serviços de saúde na América do Norte.

Tipo: Downloader

Objetivos: Educação, transporte, saúde, alimentação e agricultura

Regiões: APAC, América do Norte

O GuLoader (também conhecido como CloudEyE) é um importante downloader que distribui outros malwares. Desde 2020, o grupo de ameaças por trás do GuLoader adicionou técnicas de antianálise para dificultar que os serviços de segurança identifiquem seus ataques ou criem contramedidas. O GuLoader geralmente funciona em conjunto com outros malwares, como infostealers como FormBook, Agent Tesla e Remcos.

Durante esse ciclo de relatórios, o GuLoader pareceu ter como alvo principalmente organizações norte-americanas nos setores de transporte, alimentos e agricultura e educação. No entanto, os binários do GuLoader também foram encontrados em empresas de transporte nos países da APAC.

Tipo: Infostealer

Metas: Alimentos e agricultura, energia, finanças

Regiões: APAC, LATAM, América do Norte

O Lumma Stealer (também conhecido como LummaC2) é um infostealer baseado em C que, pelo segundo período consecutivo, tem como alvo empresas de alimentos e agricultura na América Latina e o setor de energia na Ásia-Pacífico. O Lumma Stealer é um MaaS especializado na exfiltração de dados confidenciais, como credenciais de login e detalhes bancários, para cometer fraudes bancárias. Além disso, o Lumma Stealer teve como alvo empresas de serviços financeiros na América do Norte e na APAC.

As ameaças internas são as ameaças que o site BlackBerry identifica e contra as quais se protege em sua própria base de clientes. As ameaças externas (abordadas na próxima seção) são aquelas relatadas por terceiros, como publicações de notícias do setor, fornecedores de segurança ou agências governamentais.

Tipo: Bot/Infostealer

Objetivos: Manufatura, serviços comerciais, bens de capital

Regiões: Europa, Oriente Médio e África (EMEA), APAC, LATAM

Aparecendo pela primeira vez em 2018, o Amadey é um malware modular ainda ativo no cenário de ameaças. Por meio de mudanças iterativas, ele se manteve relevante com os recentes avanços em suas comunicações. O Amadey pode reunir inteligência e sondar as máquinas das vítimas antes de exfiltrar dados para seu C2. Ele é frequentemente usado como uma rede de bots para espalhar outros malwares em massa e, com frequência, facilita a implantação de infostealers e criptomineradores mal-intencionados.

Durante o período do relatório, a Amadey visou serviços comerciais e de manufatura nas regiões EMEA, APAC e LATAM, bem como serviços de bens de capital especificamente nos países da LATAM.

Tipo: Downloader

Objetivos: Manufatura, serviços comerciais

Regiões: APAC, LATAM, América do Norte

O PrivateLoader é um facilitador generalizado de malware que opera como um serviço de pagamento por instalação para distribuição de malware. Geralmente distribuído por meio de sites falsos que hospedam software "crackeado", o PrivateLoader pode fazer o download de uma variedade de cargas maliciosas, incluindo uma ampla gama de infostealers como o RisePro. O PrivateLoader usa uma técnica conhecida como envenenamento de SEO para aumentar a proeminência de seus sites falsos. A técnica engana os usuários, fazendo-os supor que os principais resultados de pesquisa são os mais confiáveis e é muito eficaz quando as pessoas não olham atentamente para os resultados de pesquisa. Durante o período do relatório, o PrivateLoader teve como alvo a manufatura na América do Norte e os serviços comerciais na América Latina e na Ásia-Pacífico.

Tipo: Trojan de acesso remoto

Objetivos: Manufatura, varejo de alimentos, serviços comerciais

Regiões: APAC, LATAM, América do Norte

O Agent Tesla é um proeminente trojan de acesso remoto (RAT) especializado em roubo de informações que tem visado ativamente os usuários de sistemas baseados no sistema operacional Microsoft Windows desde 2014. Vendido por meio de fóruns clandestinos e promovido como uma oferta de MaaS, esse malware comercial é conhecido por roubar dados e credenciais confidenciais, gravar pressionamentos de teclas e capturar imagens das telas das vítimas. Ele é frequentemente utilizado em campanhas de phishing e hospedado/distribuído como software crackeado trojanizado.

Vários setores foram alvo da Agent Tesla nesse ciclo, incluindo manufatura, varejo de alimentos e serviços comerciais em países da APAC, LATAM e América do Norte.

Tipo: Infostealer

Objetivos: Varejo de alimentos

Regiões: APAC

O FormBook e sua evolução, o XLoader, são famílias de malware sofisticadas que operam como ladrões de informações complexos e downloaders versáteis para malware adicional. Desde a sua criação, essas famílias de malware têm sido resistentes e estão em constante evolução para evitar e contornar as defesas cibernéticas por meio de técnicas anti-VM, injeção de processos e rotinas de criptografia personalizadas.

Geralmente vendido como MaaS, o XLoader pode roubar dados de navegadores, clientes de e-mail e uma série de outros aplicativos. Vários incidentes cibernéticos relacionados ao XLoader tiveram como alvo varejistas de alimentos nos países da APAC neste trimestre.

Tipo: Downloader

Objetivos: Serviços comerciais, varejo de alimentos, manufatura

Regiões: APAC, EMEA, América do Norte

O GuLoader, também conhecido como CloudEyE, é um importante downloader usado em vários ataques como mecanismo de entrega para outros malwares. Ativo no site desde 2020, ele passou por mudanças iterativas, tornando-se mais sofisticado e integrando técnicas adicionais de antianálise. O GuLoader geralmente funciona com outros malwares, como infostealers como FormBook, Agent Tesla e Remcos.

Neste trimestre, o GuLoader teve como alvo a manufatura na América do Norte, os varejistas de alimentos na APAC e os serviços comerciais na EMEA e na APAC.

Tipo: Infostealer

Objetivos: Serviços comerciais, bens de capital

Regiões: APAC

O RisePro é um infostealer multifuncional frequentemente vendido como MaaS em fóruns clandestinos. O RisePro foi observado inicialmente no final de 2022. Depois, no final de 2023 e início de 2024,o site BlackBerry notou um aumento acentuado da atividade do RisePro. O RisePro pode ser colocado no dispositivo da vítima de várias maneiras, geralmente por meio de links maliciosos ou anexos de e-mail. Ele também foi implantado via PrivateLoader, um malware PPI frequentemente usado como serviço de distribuição de malware. Uma vez em um dispositivo, o RisePro se comunica com seu servidor C2, onde recebe comandos para roubar dados, instalar malware adicional ou extrair informações do dispositivo da vítima.

Tipo: Infostealer

Objetivos: Manufatura, varejo de alimentos, serviços comerciais, bens de capital

Regiões: APAC, EMEA, LATAM

Vidar é um infostealer que existe desde 2018 e pode ser o desdobramento do infostealer conhecido como Arkei. O Vidar tem sido extremamente ativo e é frequentemente vendido como MaaS em fóruns clandestinos. O malware é altamente flexível e pode ser colocado em um dispositivo da vítima de várias maneiras, como por meio de documentos de phishing, malvertising (publicidade que espalha malware) e distribuição secundária por meio de outro malware. Durante o período do relatório, o Vidar teve como alvo uma série de setores de empresas comerciais, incluindo manufatura na EMEA, varejo de alimentos na APAC, bens de capital na América Latina e serviços comerciais na América Latina e na APAC.

Além dos agentes de ameaças observados em nossas investigações e descobertas internas, vários outros grupos lançaram vários ataques cibernéticos neste trimestre. Esses grupos geralmente empregam uma série de ferramentas e malware para executar suas atividades ilícitas. Aqui, destacamos alguns dos atacantes mais impactantes e ferramentas notáveis identificados por nossa Equipe de Pesquisa e Inteligência sobre Ameaças neste trimestre.

O BlackSuit é uma operação privada de ransomware que surgiu em abril de 2023. Esse grupo emprega uma estratégia de extorsão multifacetada, envolvendo tanto a exfiltração quanto a criptografia dos dados das vítimas. Eles também mantêm sites de vazamento de dados na dark web, onde os dados confidenciais roubados de vítimas que não estão em conformidade são postados publicamente. O BlackSuit tem como alvo organizações de todos os tamanhos em vários setores, incluindo saúde, educação, tecnologia da informação (TI), governo, varejo e manufatura.

Os métodos de ataque do BlackSuit incluem e-mails de phishing, arquivos torrent maliciosos e exploração de vulnerabilidades em VPNs e firewalls. O grupo utiliza uma combinação de ferramentas legítimas e mal-intencionadas, como Cobalt Strike, WinRAR, PuTTY, Rclone, Advanced IP Scanner, Mimikatz, PsExec, Rubeus e GMER para movimentação lateral e despejo de credenciais. Suas cargas úteis de ransomware são projetadas para atingir os sistemas operacionais Windows® e Linux® e, em alguns casos, servidores VMware ESXi.

O Departamento de Saúde e Serviços Humanos dos EUA destacou as semelhanças entre o BlackSuit e o Royal ransomware, sugerindo que o BlackSuit pode ter se originado do criador do Royal, o famoso grupo Conti. Os mecanismos de criptografia e os parâmetros de linha de comando usados pelo BlackSuit têm uma semelhança impressionante com os encontrados no Royal, indicando uma base de código compartilhada.

As metas para esse período incluem:

• Kadokawa Corporation, um conglomerado de mídia japonês, onde o grupo se disfarçou como um componente legítimo do software antivírus Qihoo 360.
• Outros alvos notáveis incluem a cidade de Cedar Falls, em Iowa; uma empresa multinacional americana de software; o Departamento de Polícia de Kansas City, no Kansas; e a empresa farmacêutica global Octapharma Plasma, Inc.

O BlackBasta (também conhecido como Black Basta) é um operador de ransomware e uma empresa criminosa de ransomware como serviço (RaaS) que surgiu no início de 2022. De acordo com um relatório conjunto da CISA e do FBI, as afiliadas do BlackBasta visaram mais de 500 entidades do setor privado e de infraestrutura crítica, incluindo organizações de saúde, na América do Norte, Europa e Austrália.

O BlackBasta emprega métodos típicos de acesso inicial, incluindo phishing e exploração de vulnerabilidades conhecidas. Depois de obter acesso, os adversários realizam o reconhecimento para mapear a rede de destino e despejar as credenciais usando o Mimikatz. Usando as credenciais coletadas, os operadores de ransomware aumentam os privilégios e se movem lateralmente para comprometer a rede. Antes da criptografia, os agentes de ameaças do BlackBasta desativam as defesas, exfiltram informações confidenciais e excluem cópias do volume de sombra para permanecerem ocultos até o ataque final. O grupo é conhecido por empregar táticas de extorsão dupla, criptografando dados críticos e servidores vitais e ameaçando publicar informações confidenciais em seu site público de vazamentos.

As metas deste período do relatório incluem:

• Um importante provedor de serviços de saúde dos EUA. O BlackBasta criptografou os dados dos pacientes do provedor e seus sistemas operacionais, comprometendo o atendimento aos pacientes e a privacidade dos dados.
• Keytronic, um fabricante dos EUA. Um ataque cibernético atribuído pela BlackBasta interrompeu suas operações e restringiu o acesso a aplicativos comerciais essenciais. Além disso, a empresa sofreu uma violação de dados quando a quadrilha de ransomware vazou os dados roubados.

Esses ataques destacam o foco contínuo do BlackBasta em alvos de alto valor em vários setores, empregando táticas sofisticadas de ransomware para maximizar seu potencial de interrupção e extorsão.

O LockBit, um grupo de criminosos cibernéticos com supostas afiliações à Rússia, é especializado como provedor de RaaS por meio de seu malware homônimo. Os operadores do grupo mantêm e aprimoram diligentemente o ransomware, supervisionando as negociações e orquestrando sua implementação quando ocorre uma violação bem-sucedida. O LockBit emprega uma estratégia de extorsão dupla que não apenas criptografa os dados locais para restringir o acesso da vítima, mas também exfiltra informações confidenciais, ameaçando a exposição pública dos dados, a menos que o resgate seja pago.

A Operação Cronos, uma força-tarefa internacional de crimes cibernéticos, interrompeu gravemente a LockBit em fevereiro. No entanto, o grupo permaneceu altamente ativo e foi o mais agressivo na segmentação de organizações da EMEA neste trimestre. Os alvos incluem:

• Infraestrutura crítica localizada. Na região EMEA, a LockBit tem como alvo principal as PMEs em massa, principalmente no Reino Unido, na Alemanha e na França. O grupo se concentra principalmente em alvos de infraestrutura crítica de pequena escala relacionados à educação, à saúde e ao setor público.
• Hôpital de Cannes - Simone Veil, na França. Um ataque do LockBit levou a graves interrupções operacionais, obrigando o hospital a colocar todos os computadores off-line e a reagendar procedimentos e consultas não emergenciais.
• Wichita, a maior cidade do Kansas, com uma população de 400.000 habitantes. Esse ataque significativo de ransomware forçou a cidade a colocar seus sistemas de computador off-line, causando uma interrupção generalizada. A LockBit publicou publicamente um prazo de resgate em seu site, aumentando a pressão sobre a administração da cidade para atender às suas exigências.

O ShinyHunters é um grupo de ameaças que surgiu pela primeira vez em 2020 e é conhecido por diversas violações de dados em vários setores. Seus ataques supostamente incluem aqueles contra a empresa indonésia de comércio eletrônico Tokopedia, bem como contra o GitHub e a Pizza Hut Australia. O ShinyHunters ofereceu dados roubados para venda em fóruns, ocasionalmente vazando dados de algumas violações gratuitamente. Ironicamente, o grupo frequentemente encontra vulnerabilidades por meio de códigos disponíveis nos repositórios do GitHub. Ele vasculha buckets de nuvem não seguros, abusa de credenciais roubadas e aproveita ataques de phishing para facilitar suas violações.

Outros alvos alegados para esse período de relatório incluem:

• Banco Santander S.A., um banco espanhol que atende clientes na América Latina, nos Estados Unidos, no Reino Unido e na Espanha. A ShinyHunters colocou os dados dessa violação à venda por aproximadamente US$ 2 milhões, afetando 30 milhões de clientes e funcionários.
• Uma empresa multinacional de venda e distribuição de ingressos de entretenimento. Seus clientes tiveram seus dados roubados por meio de uma conta no Snowflake, uma nuvem de dados de IA usada pela empresa. A conta não tinha autenticação multifator, o que permitiu o acesso do grupo de ameaças. A ShinyHunters se ofereceu para vender esses dados por US$ 500.000.

O ransomware Akira foi observado pela primeira vez em março de 2023 e rapidamente ganhou notoriedade devido a seus ataques abrangentes em vários setores. As operações do grupo foram caracterizadas por uma série de ataques de alto perfil e uma presença persistente no cenário de ransomware. O Akira é particularmente conhecido pelo uso de táticas de extorsão dupla, em que ele não apenas criptografa os dados, mas também ameaça vazar os dados roubados se o resgate não for pago. Essa abordagem tem se mostrado eficaz para forçar as vítimas a atender às suas exigências.

Inicialmente focado em sistemas Windows, o Akira expandiu suas operações para incluir uma variante Linux. O grupo emprega métodos comuns de acesso inicial, incluindo campanhas de phishing e exploração de vulnerabilidades conhecidas. O Akira também utiliza ferramentas disponíveis publicamente, como Mimikatz e LaZagne para acesso a credenciais, PsExec para execução remota e AnyDesk ou Radmin para acesso remoto.

O Akira opera como um RaaS, foi inicialmente desenvolvido em C++ e usa uma extensão .akira para arquivos criptografados. Também foi observada uma variante baseada em Rust, que usa a extensão .powerranges. As atividades mais recentes do Akira tiveram como alvo os setores de saúde, serviços financeiros, manufatura e tecnologia. Esses ataques destacam a capacidade de adaptação do grupo e a ameaça contínua a uma ampla gama de setores.

Ferramentas como Rclone, Rubeus, GMER, WinSCP e Cobalt Strike são vitais para o gerenciamento de dados, testes de penetração e manutenção de sistemas. Sua flexibilidade e acessibilidade também as tornam ferramentas úteis para serem usadas indevidamente por agentes de ameaças.

O Cobalt Strike funciona como uma estrutura sofisticada de simulação de adversários, meticulosamente projetada para replicar a presença persistente de agentes de ameaças em ambientes de rede. Estruturado em torno de dois componentes essenciais - um agente (Beacon) e um servidor (Team Server) - o Cobalt Strike orquestra uma interação perfeita. O Cobalt Strike Team Server, que funciona como um servidor C2 de longo prazo hospedado na Internet, mantém comunicação constante com as cargas úteis do Beacon implantadas nas máquinas das vítimas.

Embora o Cobalt Strike seja utilizado principalmente como uma ferramenta para testadores de penetração e equipes vermelhas avaliarem a postura de segurança das redes, infelizmente ele também foi explorado por agentes de ameaças mal-intencionados. Apesar da finalidade pretendida, ocorreram casos de vazamento de seu código on-line, o que levou a um rápido armamento por uma gama diversificada de adversários. Essa natureza dupla destaca a importância da vigilância e de medidas robustas de segurança cibernética para atenuar os riscos associados ao seu uso indevido, protegendo as redes contra possíveis explorações.

A equipe de pesquisa e inteligência do site BlackBerry analisou cinco das técnicas MITRE mais observadas:

Hijack Execution Flow (T1574) é uma técnica sofisticada empregada por adversários para interceptar e manipular o fluxo de execução normal de um sistema, permitindo que eles executem códigos maliciosos em seu lugar. Esse método foi considerado muito predominante no último trimestre, demonstrando sua popularidade devido à sua eficácia em obter persistência e executar ações não autorizadas.

Há várias rotas para aproveitar os métodos dessa técnica, incluindo o sequestro da ordem de pesquisa da DLL, o carregamento lateral da DLL e a injeção de código mal-intencionado em processos legítimos. Ao sequestrar o fluxo de execução, os invasores podem obter controle sobre o sistema sem acionar alertas de segurança padrão. Isso torna difícil para as ferramentas de segurança detectar e impedir atividades futuras do agente da ameaça. Por exemplo, ao colocar uma DLL mal-intencionada em um local que é pesquisado antes da DLL legítima, o invasor pode garantir que seu código seja executado quando um aplicativo legítimo carregar a DLL.

Uma vantagem significativa dessa técnica para os adversários é sua capacidade de contornar as medidas de segurança. Como o código mal-intencionado é executado no contexto de um processo confiável, ele pode escapar dos mecanismos de segurança tradicionais que dependem da análise do comportamento do processo. Esse recurso torna o Hijack Execution Flow particularmente perigoso, pois pode ser usado para realizar uma ampla gama de atividades mal-intencionadas, desde o aumento de privilégios até a exfiltração de dados.

Para se defender contra o T1574, as organizações devem implementar medidas de segurança abrangentes, incluindo listas brancas de aplicativos, gerenciamento rigoroso de patches e monitoramento contínuo das atividades do sistema e da rede. A atualização regular do software e a garantia de que somente aplicativos autorizados possam ser executados reduzem significativamente o risco de sequestro do fluxo de execução.

O treinamento de conscientização do usuário também desempenha um papel fundamental para ajudar os funcionários a reconhecer os sinais de possíveis tentativas de sequestro de fluxo de execução, contribuindo para uma postura de segurança robusta. Por fim, o emprego de soluções avançadas de detecção de ameaças que possam identificar padrões de comportamento anormais associados a essa técnica é fundamental para a detecção e a resposta em tempo hábil. Alguns exemplos de uso do T1574 incluem:

• Sequestro de ordem de pesquisa de DLL: Um exemplo comum é a exploração da ordem de pesquisa de DLL no Windows. Se um invasor colocar um msvcrt.dll mal-intencionado no diretório de trabalho do aplicativo, ele poderá ser carregado pelo aplicativo em vez da versão legítima do diretório do sistema.
• Carregamento lateral de DLL: Em 2018, o grupo APT OceanLotus usou o carregamento lateral de DLL com o executável legítimo do Microsoft Word para carregar uma DLL mal-intencionada que estabeleceu persistência e executou outras cargas úteis.
• Sequestro de COM: Um invasor registra um objeto COM mal-intencionado em uma chave de registro específica que um aplicativo legítimo consulta com frequência. Quando o aplicativo chama o objeto COM, o código malicioso é executado em vez do objeto COM pretendido.
• Windows AppInit_DLLs: Ao modificar as chaves de registro, como AppInit_DLLs, um invasor garante que sua DLL mal-intencionada seja carregada em todos os processos aplicáveis, concedendo-lhe controle sobre esses processos.
• Injeção em processos legítimos: Um caso conhecido dessa técnica envolve o uso de injeção reflexiva de DLL pela ferramenta Cobalt Strike, em que a carga útil é injetada em um processo legítimo para evitar a detecção pelo software de segurança.

Na técnica Boot or Logon Autostart Execution (T1547), um invasor primeiro garante que o malware seja executado automaticamente durante a inicialização do sistema ou o login do usuário. Em seguida, o invasor usa mecanismos como chaves de registro, pastas de inicialização, tarefas agendadas ou registros de serviços para manter a persistência ou obter privilégios elevados no sistema comprometido. Esses mecanismos são projetados para facilitar a funcionalidade legítima do software e as tarefas de gerenciamento do sistema no sistema operacional. No entanto, os adversários podem abusar dessas funções para incorporar seu código malicioso, ajudando-o a se misturar às operações normais do sistema. Compreender e proteger esses mecanismos críticos do sistema operacional é essencial para a proteção contra a persistência não autorizada e o aumento de privilégios.

Aqui está um exemplo de um local de chave de registro frequentemente usado para estabelecer a persistência:

'HKLM\Software\Microsoft\Windows\CurrentVersion\Run ' - Esse é o registro do Windows usado para configurar programas a serem executados automaticamente quando o sistema operacional é iniciado.

Um exemplo de uma pasta de inicialização usada para estabelecer a persistência é:

'%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup ' - Esse caminho leva à pasta Startup, onde são colocados atalhos para programas que devem ser iniciados automaticamente quando o usuário faz logon.

A seguir, um exemplo de como a criação de serviços pode ser aproveitada para a persistência:

'sc create Updater binPath= "C:\Windows\malicious[.]exe" start= auto ' - O comando utiliza o utilitário de serviço para criar um serviço chamado "Updater" que é configurado para iniciar automaticamente na inicialização do sistema.

Outro exemplo de estabelecimento de persistência e obtenção de privilégios elevados é por meio do Agendador de Tarefas do Windows:

'schtasks /create /tn "Updater" /tr "C:\Windows\malicious[.]exe" /sc onlogon /ru SYSTEM ' - O comando cria uma tarefa agendada denominada "Updater" que executa o executável malicious.exe no local especificado sempre que um usuário faz logon, com a tarefa específica sendo executada na conta SYSTEM para privilégios elevados.

A técnica Impair Defenses (T1562) do MITRE, sob a tática Defense Evasion (TA0005), foi reconhecida como uma das cinco técnicas mais comuns usadas pelos adversários no período do relatório. Essa técnica altera elementos do ambiente da vítima para dificultar ou desativar os mecanismos de defesa. Os adversários não apenas prejudicam as defesas preventivas, como firewalls e software antivírus (AV), mas também interrompem os recursos de detecção que os defensores usam para auditar a atividade e identificar comportamentos mal-intencionados.

Quando os agentes de ameaças prejudicam com sucesso as defesas da vítima, eles ganham a liberdade de atacar sem serem detectados. Isso permite que eles injetem binários mal-intencionados, que podem ser usados para explorar outras técnicas do MITRE, como keyloggers, worms, cavalos de Troia e shells da Web mal-intencionados. Tudo isso pode fazer com que o ransomware seja executado em uma máquina.

É fundamental empregar medidas de proteção contra a técnica T1562 do MITRE para proteger seu sistema contra esses ataques. Essa técnica é frequentemente usada no início de um ataque, o que torna essencial detectá-la e neutralizá-la o mais cedo possível.

Abaixo está uma lista de linhas de comando que são úteis para monitorar:

• sc stop <ServiceName>
• sc config <ServiceName> start=disabled
• net stop <ServiceName>
• taskkill /IM <ToolName> /F
• netsh advfirewall set allprofiles state off
• bcdedit.exe /deletevalue {default} safeboot
• bcdedit /set {default} recoveryenabled no

A técnica Application Window Discovery (T1010), sob a tática Discovery (TA0007), foi identificada pelos especialistas do BlackBerry como uma das principais técnicas usadas pelos agentes de ameaças cibernéticas nesse período do relatório. Essa técnica envolve a listagem de aplicativos abertos do Windows, fornecendo aos agentes de ameaças informações úteis sobre os padrões de uso do sistema de destino. Essas informações podem ser valiosas para identificar dados específicos que valem a pena ser coletados, bem como o software de segurança que os atacantes devem burlar para evitar a detecção. Os agentes de ameaças usam essa técnica para entender melhor o ambiente e planejar seu ataque para ser o mais agressivo possível sem ser detectado.

Para obter primeiro a lista de aplicativos abertos do Windows, os invasores normalmente exploram os recursos internos do sistema. Por exemplo, eles podem utilizar comandos do Command and Scripting Interpreter ou funções da API nativa para coletar as informações necessárias. Essas ferramentas e funções nativas são usadas com frequência porque têm menos probabilidade de causar suspeitas e podem oferecer informações abrangentes sobre o sistema.

Como esses comportamentos são suspeitos e podem fornecer a um adversário informações significativas sobre o sistema da vítima, é importante ter uma configuração de software de segurança capaz de detectar esses comandos ou ações executados por adversários.

Abaixo está uma lista de linhas de comando que podem ser úteis para monitorar:

• gps | where {$_.mainwindowtitle}
• Get-Process | Where-Object MainWindowTitle
• "cscript.exe", "rundll32.exe", "explorer.exe", "wscript.exe", "PowerShell.exe", "pwsh.dll", "winlogon.exe", "cmd.exe" são os processos principais para o uso dessas APIs: "user32.dll!GetWindowTextA", "user32.dll!GetForegroundWindow", "user32.dll!GetActiveWindow", "user32.dll!GetWindowTextW"
• lista de tarefas e lista de tarefas /v

A estrutura do MITRE ATT&CK identifica a Descoberta de Software (T1518) como uma técnica-chave na tática de Descoberta (TA0007). Esse método é frequentemente usado pelos adversários para obter informações sobre o ambiente de software dos sistemas visados, o que o torna uma etapa essencial em muitos ataques cibernéticos. A descoberta de software permite que os invasores identifiquem vulnerabilidades ao determinar quais aplicativos e versões estão instalados em um sistema. Essas informações ajudam os adversários a explorar softwares desatualizados ou sem patches, planejar maneiras de desativar ou evitar medidas de segurança e adaptar seus ataques para obter o máximo de eficácia.

Os métodos comuns de descoberta de software incluem o uso do Windows Management Instrumentation (WMI) com comandos como wmic "product" get name, version, vendor e scripts do PowerShell, como Get-ItemProperty ou Get-WmiObject. Esses métodos permitem que os invasores obtenham informações detalhadas sobre o software, consultem o registro do Windows e identifiquem os processos em execução e os aplicativos associados. As implicações de uma descoberta de software bem-sucedida são significativas. Os invasores podem explorar as vulnerabilidades de software identificadas para aumentar os privilégios ou executar códigos arbitrários. Eles também podem desativar ou contornar as defesas de segurança, aumentando a probabilidade de operar sem serem detectados. Além disso, ao compreender o ambiente de software, os adversários podem implantar malware direcionado especificamente aos aplicativos descobertos, aumentando a eficácia e a discrição de seus ataques.

Para se proteger contra essa técnica, as organizações devem implementar mecanismos robustos de monitoramento e alerta. É essencial monitorar o uso de comandos e scripts comumente associados à descoberta de software. O emprego de sistemas avançados de detecção de ameaças que usam análise comportamental pode ajudar a detectar atividades incomuns. Garantir que todos os softwares estejam atualizados e corrigidos, limitar o uso de ferramentas administrativas ao pessoal autorizado e manter registros abrangentes da execução de comandos também são etapas cruciais.